Kutatás: mennyi adatot továbbítanak a modern autók külső feleknek?
A Northeastern University és a Consumer Reports közös kutatása szerint a vizsgált 21 hálózatba kapcsolt autóból 19 legalább egy külső fél szerverével kapcsolatba lépett. Az autókhoz tartozó mobilalkalmazásoknál még több adatvédelmi aggály merült fel: a vizsgált 30 alkalmazásból 28 kommunikált hirdetési, analitikai vagy követési szolgáltatásokkal, és némelyik az alvázszámot (VIN), a felhasználó nevét vagy pontos tartózkodási helyét is továbbította.
Fontos azonban, hogy a kutatás nem bizonyította: az autók által külső feleknek küldött valamennyi adatcsomag személyes adatot tartalmazott. Az autók hálózati forgalma titkosított volt, így a kutatók láthatták, mely szerverekkel kommunikált egy-egy autó, de azt nem mindig, hogy milyen információt tartalmaztak az adatcsomagok. Az alkalmazások esetében sokkal pontosabban meg tudták állapítani a továbbított adatok tartalmát.
A Tesla több tucat követési és hirdetési domainnel kommunikált
A kutatók 19 márka 21 autóját vizsgálták különböző helyzetekben: álló helyzetben, menet közben és az infotainment rendszer használata során. Valamennyi autó kommunikált a gyártója saját szervereivel, ami a hálózatba kapcsolt autók működésénél várható is.
Emellett 19 autó legalább egy külső féllel is kapcsolatba lépett. A tesztekben a Tesla Model 3 és a Cybertruck tűnt ki. A Model 3 34 hirdetési, követési vagy analitikai domainnel, valamint további 37, fedélzeti alkalmazások által használt domainnel lépett kapcsolatba. Egyes autóknál, például a Buick Envista és a Mercedes-Benz EQS esetében a tesztek nem mutattak hasonló mintázatot: ezek főként a gyártójuk saját szolgáltatásaival kommunikáltak.
A Google-domainek magas aránya nem meglepő, mivel több gyártó is az Android Automotive rendszert használja. A kutatók ugyanakkor olyan szolgáltatásokkal is találtak kapcsolatot, mint a DoubleClick és a Google Syndication, amelyek elsődlegesen hirdetést és a felhasználók követését szolgálják, nem pedig az autó működését.
A mobilalkalmazás több adatot is megoszthat, mint maga az autó
A gyártók okostelefonos alkalmazásainál még egyértelműbb adatvédelmi kockázatok merültek fel.
A 30 alkalmazásból 28 legalább egy hirdetési, analitikai vagy követéssel foglalkozó céggel kommunikált. Egyes alkalmazások több mint 20 új külső felet vontak be a felhasználó adatainak továbbításába. A kutatók a General Motors, a Toyota és a Nissan alkalmazásainál azonosították a legtöbb ilyen kapcsolatot.
A Northeastern University szerint egyes esetekben külső felekhez eljutott a felhasználó neve, e-mail-címe, az autó alvázszáma és a pontos tartózkodási helye. Ez lehetővé teszi, hogy egy adott autót és tulajdonosát összekapcsolják az interneten és az alkalmazásokban összeállított más profilokkal.
Miután egyeztetett a kutatókkal, a Honda módosította a rendszerét, és leállította a pontos helyadatok továbbítását legalább egy követéssel foglalkozó cég felé.
A hozzájárulás megvan, de az ellenőrzés lehetősége gyakran hiányzik
Az autógyártók azt közölték a kutatókkal, hogy az adatok felhasználását szerződések és adatvédelmi szabályzatok szabályozzák. A probléma az, hogy a vásárlók gyakran pusztán egy alkalmazás vagy hálózati szolgáltatás felhasználási feltételeinek elfogadásával adják meg a hozzájárulásukat.
Hét gyártó szerint az ügyfél felelőssége elolvasni a feltételeket. Az adatmegosztás elutasításával azonban a vásárló olyan funkcióktól eshet el, amelyekért az autó megvásárlásakor lényegében már fizetett, például a távoli indítástól, a helyzet kijelzésétől vagy más hálózati szolgáltatásoktól.
Így a választás meglehetősen korlátozott: a felhasználók visszafoghatják az adatmegosztást, de cserébe le kell mondaniuk az autó egyes funkcióiról.
A GDPR védi az európai autósokat, de a probléma továbbra is fennáll
A kutatás az amerikai piac autóira és alkalmazásaira terjedt ki, ezért az eredményei nem alkalmazhatók közvetlenül az európai piacra. Az Európai Unióban a GDPR jóval szigorúbb követelményeket támaszt a személyes adatok gyűjtésével és kezelésével szemben, a felhasználóknak pedig erősebb jogaik vannak ahhoz, hogy hozzáférjenek az adataikhoz, kérjék azok törlését vagy korlátozzák a kezelésüket.
A műszaki probléma azonban ugyanaz marad. A modern autókban mobiladat-kapcsolat, GPS, mikrofonok, kamerák, telefonos csatlakozási lehetőség és felhőszolgáltatások vannak. Az autó gyakorlatilag hálózatba kapcsolt, kerekeken guruló számítógéppé vált.
A kutatás legfontosabb következtetése tehát nem az, hogy „minden autó kémkedik”. A pontosabb következtetés kellemetlenebb: egy hálózatba kapcsolt autó adatforgalmának jelentős részét a tulajdonosa egyszerűen nem látja, és nem is tudja ellenőrizni.
